Akira

نظرة عامة

يُعتقد أن مجموعة برمجيات الفدية Akira ظهرت في مارس 2023، وقد أُثيرت تكهنات عديدة بشأن صلاتها بمجموعة Conti السابقة. بعد توقف عمليات Conti، انتقل عدد من شركائها إلى تنفيذ حملات مستقلة، من بينها Royal وBlackBasta وغيرها. وتشير بعض التقارير إلى أن شركاء Akira يعملون أيضًا مع عمليات برمجيات فدية أخرى، مثل Snatch وBlackByte. وقد عُثر على دليل مفتوح للأدوات التي يستخدمها أحد مشغّلي Akira، وتبيّن وجود صلات بين بعض هذه الأدوات وبرمجية الفدية Snatch. كُتب الإصدار الأول من برمجية Akira بلغة C++، وكان يضيف الامتداد .akira إلى الملفات المشفّرة، وينشئ مذكرة فدية باسم akira_readme.txt. واستند جزء من شيفرته إلى الشيفرة المصدرية لـConti V2. وبحسب التقارير، أصدرت Avast أداة لفك تشفير هذا الإصدار في 29 يونيو 2023. وفي 2 يوليو 2023، صدر إصدار جديد عالج الخلل الذي أتاح فك التشفير. ويُقال إن الإصدار اللاحق كُتب بلغة Rust، ويحمل اسم megazord.exe، ويضيف الامتداد .powerranges إلى الملفات المشفّرة. تعتمد عدة أساليب للوصول الأولي لدى Akira على هجمات القوة الغاشمة ضد أجهزة Cisco VPN التي تستخدم المصادقة أحادية العامل. كما رُصد استغلال الثغرتين CVE-2019-6693 وCVE-2022-40684 للوصول الأولي.

• تاريخ أول رصد: 2023-04-26
• ورد ذكرها في تقاريرنا: فرنسا · الإمارات

ما أوردته التقارير المنشورة

• تشير التقييمات بدرجة ثقة عالية إلى وجود صلات بين مشغّلي Akira وأشخاص ارتبطوا بعملية Conti التي توقفت. وأظهر تحليل معاملات سلسلة الكتل تحويلات من محافظ مرتبطة بـAkira إلى محافظ مرتبطة بـConti، كما يرفض الملف التنفيذي العمل عند استخدام تخطيطات لوحة مفاتيح روسية.

TRM Labs · CybelAngel · Industrial Cyber

النطاق الجغرافي: المنشأ والأهداف

الثغرات التي ثبت استغلالها

تقنيات ATT&CK

تمثل الأعمدة تكتيكات إطار MITRE ATT&CK، وتعرض كل خلية تقنية نُسب استخدامها إلى المجموعة في مصادر منشورة. ولا يعني إدراج تقنية أنها استُخدمت بالضرورة في حادثة محددة، كما أن عدم إدراجها لا يثبت أن المجموعة لا تستخدمها.

تفاصيل التقنيات

الأدوات

البنية التحتية لمواقع التسريب

المصادر والتحفظات

تستند أوصاف المجموعات، ومواءمات MITRE ATT&CK، ومعلومات الأدوات ومواقع التسريب إلى مشاريع عامة لتتبع برمجيات الفدية، منها ransomware.live وCrocodyli. أما بيانات الثغرات التي استُغلت فتستند إلى مصفوفة Ransomware-Vulnerability-Matrix التابعة لـBushidoUK، المنشورة بموجب ترخيص CC BY 4.0. وقد استُكملت بعض البيانات عندما كانت المعلومات المتاحة عن مجموعة معينة في ذلك المصدر أحدث من البيانات لدينا. يرتبط كل معرّف CVE بمصدره الأصلي. أُبقيت الأوصاف التقنية باللغة الإنجليزية كما نُشرت. وعُطّلت روابط مواقع التسريب لتسهيل حظرها والكشف عنها؛ لا تزُر هذه المواقع. لم تتحقق ClairSec_ بصورة مستقلة من صحة المعلومات على مستوى كل حادثة.

تاريخ توثيق البيانات: 2026-10-11